저자: Bitcoin Security Consortium, 비트코인 프로토콜의 장기적 안전과 안정을 위해 일하는 업계 리더로 구성된 연합
편역: 谷昱, ChainCatcher
본 보고서는 Bitcoin Security Consortium이 Presidio Bitcoin과 협력하여 완성한 것입니다.
핵심 요점(TL;DR)
양자 컴퓨팅의 최근 진전은 실재합니다. 다만 점진적일 뿐입니다. Google의 Willow와 최근의 Shor 알고리즘 최적화 같은 진전이 우려를 불러일으켰지만, 암호학적으로 유의미한 양자 컴퓨터(CRQC)는 아직 시연되지 않았습니다.
Bitcoin이 양자 컴퓨팅에서 마주하는 위험은 그 서명 방식에 국한되며, 구체적으로 두 가지 측면으로 나타납니다. 취약한 토큰에 대한 정적 공격, 그리고 멤풀 거래에 대한 전송 중(in-flight) 공격입니다.
해결책은 이미 식별되었고 적극적으로 추진되고 있습니다. (1) 자금을 재사용 주소 밖으로 이전하기, (2) 포스트양자 서명 방식 개발하기, (3) 이미 손실되었을 가능성이 큰 P2PK 토큰에 대한 합의 도출하기.
양자 컴퓨팅의 르네상스?
수년간 정체된 듯 보였던 양자 컴퓨팅 분야에서 진전을 입증하는 학술 논문과 그에 따른 헤드라인이 점점 늘어나면서, 투자자들 사이에서 bitcoin의 안전성에 대한 우려가 커졌습니다. 그 헤드라인은 다음과 같습니다.
Google의 Willow(2024년 12월). 오류 정정된 '논리' 큐비트를 보호하기 위해 물리 큐비트를 늘리면 그 논리 큐비트가 덜 신뢰할 만해지는 것이 아니라 더 신뢰할 만해진다는 사실을 최초로 입증했습니다.
Google Quantum AI, Oratomic/Caltech, 그리고 ECDSA.fail의 Shor 알고리즘 최적화(2026년). Google Quantum AI는 Ethereum Foundation 및 Stanford와 협력하여 Shor 알고리즘으로 Bitcoin의 타원 곡선을 깨는 회로를 압축했는데, 이전 추정치 대비 약 20배 줄었습니다. Oratomic과 Caltech은 자신들의 Shor 알고리즘 최적화로 단일 Bitcoin 개인키를 며칠 안에 깰 수 있다고 봅니다. 마지막으로 Eigen Labs의 스코어보드인 ECDSA.fail 프로젝트는 연구자와 AI 에이전트를 모아 이후 몇 달 동안 Google의 회로를 다시 거의 70% 축소했습니다.
IonQ의 엔드투엔드 Shor 알고리즘 최적화(2026년 9월). Shor 알고리즘을 실행하기 위한 완전한 컴파일 청사진으로, 소프트웨어와 하드웨어를 함께 겨냥해 계산했으며 이론적으로 시도당 약 26일 안에 단일 개인키를 63.3%의 성공률로 풀어냅니다.
Google의 magic state 육성(2026년 10월). 양자 컴퓨팅에는 사용할 때마다 소모되고 생산 비용이 높은 자원 상태인 'magic state'가 필요합니다. Google은 Willow에서 자사의 필터링 프로토콜이 이런 상태의 오류를 약 40배 줄여 99.99%의 논리적 충실도를 달성했음을 입증했습니다.
Quantinuum의 '파이브 나인' 논리적 충실도(2026년 10월). Quantinuum의 Helios 컴퓨터는 100만 회 연산당 5회의 오류(99.9995% 논리적 충실도)를 보여 Google의 시연보다 약 100배 낮았습니다. 인코딩 규모가 커질 때마다 오류는 12배씩 감소했습니다(λ = 12).
오늘날 암호학적으로 유의미한 양자 컴퓨터(CRQC)는 존재하지 않으며, 이 기술에는 오류 정정 큐비트를 물리적으로 확장하는 등 여전히 많은 엔지니어링 과제가 남아 있습니다. 그런데 왜 이런 헤드라인이 Bitcoin 커뮤니티의 관심을 끌까요? Bitcoin과 양자 컴퓨터는 어떤 관계일까요? 살펴보겠습니다.
양자 컴퓨팅 개요
양자 컴퓨팅의 핵심은 큐비트, 즉 qubit입니다. 0 또는 1의 값을 저장하는 고전적 비트와 달리, qubit는 양자역학 세계에만 고유한 두 가지 특성을 보입니다.
중첩: 하나의 qubit는 0과 1의 혼합 값을 동시에 저장할 수 있으며, 측정하면 이 값들이 가중 확률에 따라 둘 중 하나로 붕괴합니다.
얽힘: 둘 이상의 qubit가 하나의 결합 상태를 공유할 수 있고, 거리가 아무리 멀어도 하나를 측정하면 다른 하나의 값이 결정됩니다.
이런 특성 덕분에 양자 컴퓨터는 많은 후보 답을 동시에 탐색하면서 틀린 답을 상쇄할 수 있습니다. 그러나 물리 qubit는 매우 취약하여 결어긋남(decoherence), 즉 양자 정보의 손실이 쉽게 발생합니다. 그래서 오늘날 많은 기업의 로드맵이 최소한의 논리 qubit를 목표로 삼고 있습니다. 논리 qubit는 여러 개의 중복된 물리 qubit로 구축한 오류 정정 qubit로, 오류를 탐지하고 수정함으로써 계산과 정보가 신뢰할 만하게 유지되도록 합니다.
물리 qubit 대 논리 qubit 비율을 최소화하기 위해, 양자 컴퓨터 연구소들은 다음을 포함하되 이에 국한되지 않는 가장 효율적인 하드웨어 아키텍처를 연구합니다.
초전도 회로(Google, IBM): 절대 영도에 가깝게 냉각된 작은 와이어 고리로, 그 안의 전류가 하나의 qubit처럼 행동합니다. 빠른 계산 시간을 구현할 수 있지만 발전 속도는 더딥니다.
중성 원자(Oratomic): '집게(tweezer)'라 불리는 레이저 배열로 고정된 전하 없는 원자로, 그 전자가 qubit 역할을 합니다. 빠르게 확장되지만 이론적으로 계산 시간은 더 느립니다.
이온 트랩(Quantinuum, IonQ): 전자기장 안에서 레이저로 조작되는 대전된 원자, 즉 이온으로, 이 경우 이온의 기저 상태나 여기 에너지 상태가 qubit 역할을 합니다. 계산은 상대적으로 느리고 확장 속도는 중간 정도입니다.
광자(Photonics, PsiQuantum, Xanadu): 칩과 광학 소자를 통과하는 빛의 입자(광자)로, 각 광자의 속성이 qubit 역할을 합니다. 빠른 계산 시간을 구현할 수 있지만 개발 타임라인은 더 느린 것으로 보입니다.
Bitcoin의 양자 공격 표면
이론적으로 Shor 알고리즘을 실행하는 암호학적으로 유의미한 양자 컴퓨터는 Bitcoin의 타원 곡선 디지털 서명 알고리즘(ECDSA), 즉 네트워크에서 소유권과 재산권을 유지하는 서명 방식을 깰 수 있습니다. 이 방식은 개인키를 드러내지 않으면서 거래 상대방에게 해당 개인키의 소유를 증명합니다. 중요한 점은 Bitcoin의 핵심 게임이론과 경제 원칙 대부분, 예컨대 거래 합의, 발행 일정, 공급 상한은 이 공격 표면에 속하지 않는다는 것입니다.
Bitcoin 개인키 공격은 네트워크에 두 가지 공격 표면을 제공합니다.
장기 노출 또는 정적 공격. 재사용 주소나 보안이 낮은 구형 주소 유형(P2PK, pay-to-public-key)에 있는 토큰은 이미 공개키를 노출했고, 양자 컴퓨터는 이 공개키를 이용해 대응하는 개인키를 얻을 수 있습니다. 오늘날 현대적 출력 유형에 기반한 대부분의 활성 주소, 즉 지출 전까지 공개키가 숨겨지는 주소는 이런 공격에 쉽게 취약하지 않습니다. 그러나 Project Eleven의 추정에 따르면 약 710만 BTC, 전체의 약 35%가 오늘 유능한 양자 컴퓨터가 존재한다면 도난에 취약합니다. 그중 약 4분의 3은 재사용 주소에 있으며 대부분 대형 거래소에 있습니다. 거래소가 자금을 일회성 주소로 옮기고 더 나은 커스터디 관행과 표준을 채택하면 위험을 낮출 수 있습니다. 그러나 다른 180만 BTC는 P2PK 주소에 있으며 대부분 이미 손실된 것으로 추정되어 안전한 주소로 이전하는 것이 실행 불가능할 수 있습니다. 계산 시간이 빠르든 느리든 양자 컴퓨터는 이렇게 노출된 공개키를 하나씩 활용해 투자자 자금을 보유한 개인키를 얻을 수 있습니다.
단기 노출 또는 전송 중 공격. Bitcoin 네트워크의 토큰은 지출될 때만 공개키를 드러내므로 약 10분의 취약한 창(더 정확히는 거래가 제출되고 블록에 포함되기까지의 시간)이 생깁니다. 충분히 빠른 양자 컴퓨터는 이 창을 이용해 거래가 진행되는 도중 토큰을 훔칠 수 있습니다. Google의 추정에 따르면 미리 예열된 빠른 클럭의 양자 장치는 최단 9분 내에 개인키 획득 계산을 완료할 수 있어, 원래 취약하지 않은 주소에 보관된 토큰도 일반적인 거래를 거치는 동안 도난 위험에 노출됩니다.
위협을 과장할 수 있는 오해
"양자 하드웨어는 이미 확장을 마치고 준비되었다." 현재 가장 좋은 시연 성과를 낸 시스템인 Quantinuum의 시스템은 48개의 오류 정정 논리 qubit를 생성했습니다. Bitcoin의 타원 곡선을 깨려면 최소 약 1,200개가 필요합니다.
"양자 시연이 이미 암호학적으로 유의미한 양자 컴퓨팅을 입증했다." 그렇지 않습니다. Willow는 오류 정정 메모리를 입증한 것이지 대규모 오류 정정 계산을 입증한 것이 아닙니다. Google, Oratomic, IonQ의 2026년 논문은 청사진이며 실제 작동하는 기계가 아닙니다. 많은 논리 qubit 사이에서 오류가 낮은 연산을 구현하는 것은 여전히 풀어야 할 병목입니다.
"모든 bitcoin이 즉시 도난 위험에 처한다." 대부분의 bitcoin은 정적 상태에서는 취약하지 않습니다. 공개키가 지출 전까지 해시 뒤에 숨겨져 있기 때문입니다. 가장 큰 단일 노출 원인인 주소 재사용은 오늘날 새로운 미사용 주소로 로테이션하면 해결할 수 있습니다. 공격이 오늘 닥친다 해도 모든 취약 공급을 한 번에 노리는 것이 아니라 시도마다 단일 개인키를 대상으로 삼을 것입니다.
위협을 과소평가할 수 있는 오해
"Shor 알고리즘 최적화는 중요하지 않다." 3월에 Google은 이론적으로 Bitcoin ECDSA를 깨는 데 필요한 논리 qubit 요구량을 약 20배 압축하면서, 타원 곡선이 RSA(Rivest-Shamir-Adleman) 암호 체계보다 최적화 관심을 훨씬 적게 받아왔다고 지적했습니다. 즉 최적화할 여지가 더 남아 있다는 뜻입니다. 그 예로 ECDSA.fail 프로젝트는 Google의 회로를 추가로 거의 70% 최적화했습니다.
"그건 수십 년 뒤의 일인데 왜 애쓰나?" 최근 전문가 조사에서는 유능한 기계가 2030년에서 2035년 사이에 등장할 확률을 약 50%로 봅니다. 각국 정부는 2030년대 초중반까지 포스트양자 마이그레이션을 완료하는 것을 목표로 하고, Google과 Cloudflare는 내부 마감 시한을 2029년으로 잡았습니다. 다만 이런 마감 시한은 정부나 기업이 '수확 후 복호화' 공격을 막는 데 더 절박하게 적용됩니다. 이는 주로 미래에도 여전히 관련성이 있을 수 있는 사적 정보와 관련됩니다. Bitcoin은 참여자들이 공개키가 숨겨진 주소로 이전함으로써 스스로를 방어할 수 있으므로, 이런 마감 시한은 네트워크에 대한 모범 사례로 볼 수 있지 반드시 지켜야 할 기한은 아닙니다.
"우리는 그것이 오는 것을 미리 볼 것이다." 돌파구는 비공개로 유지되거나 민족국가에 의해 기밀로 분류될 수 있으며, 초기 도난은 산발적으로 발생해 통상적인 커스터디 순환이나 결제 거래와 구별하기 어려울 수 있습니다.
지금 하고 있는 일
오늘날 Bitcoin 보유자들, 즉 거래소, 기관, 투자자는 이미 해결책을 적극적으로 논의하며 양자 위협에 대비하고 있습니다. 우선순위는 대략 다음과 같습니다.
취약한 공급을 재사용 주소에서 미사용 주소로 이전하기. 가장 실현하기 쉬운 항목으로 네트워크 합의나 소프트포크가 필요하지 않습니다. 전적으로 대형 거래소와 커스터디언, 그리고 자기 커스터디를 이용하는 투자자가 더 나은 보안 관행, 예컨대 잔돈 출력 로테이션과 무슨 수를 써서라도 주소 재사용 회피를 채택하는 데 달려 있습니다.
포스트양자 서명 방식 설계하기. 지금까지 Bitcoin에서 양자 저항 지출을 구현하는 선도적 제안은 Blockstream의 SHRINCS("Shrunken SPHINCS"의 약자)입니다. SHA-256을 기반으로 구축되었으며 초당 최대 3건의 거래를 처리할 수 있는데, 미국 국립표준기술연구소(NIST)의 표준 SPHINCS+는 0.36건에 그칩니다. Blockstream은 2026년 3월 Liquid Network에서 이 방식을 테스트했고, 다른 기여자들과 함께 8월에 Bitcoin 개선 제안(BIP)을 발표했습니다. 공식적인 보안 증명은 아직 남아 있으며, 네트워크 전체 배포에는 소프트포크가 필요합니다.
Bitcoin에서 취약하지만 이미 손실되었을 가능성이 큰 P2PK 주소 토큰을 어떻게 처리할지 합의 도출하기. 향후 몇 년간 Bitcoin이 양자 위협에 맞서는 과정에서 이것이 가장 논쟁적인 문제일 수 있습니다. 약 170만 BTC가 약 20,000개의 P2PK 주소에 있으며, 여기에는 사토시 나카모토로 추정되는 110만 BTC가 포함됩니다. Presidio Bitcoin에 따르면 현재 논의에서 비교적 부각되는 옵션은 구형 지출을 유효하게 유지하기(양자 공격자가 '훔치도록' 두기), 구형 지출을 늦추기(취약 토큰의 이동 속도를 제한하는 '속도 제한'), 그리고 토큰을 동결하고 복구 경로를 제공하기(모든 구형 Bitcoin 지출을 비활성화하되 소유자가 시드 구문의 영지식 증명으로 토큰을 되찾도록 허용하는 '소프트 동결')입니다. 이 중요한 주제에 대한 더 폭넓은 읽을거리로, Presidio Bitcoin은 여기에서 기초 지식을 설명하고 업데이트하고 있습니다.
